Office-Malware-Forensics-Lab-REMnux-Static-Analysis

REMnux上でoletoolsを使用した2つの悪意のあるOffice文書の静的解析。CVE-2017-11882と難読化されたマクロを特定。

判定: 悪意あり — マクロを必要とせずに VBS ペイロードをドロップするため CVE-2017-11882 を悪用した武器化された Office ドキュメント

サンプル 2 — 悪意のある Excel ファイル (.xlsx)

SHA-256: dc65419ba5d83b980d7018198a14209fa2f5ebf6f99d47bfe9f586852087befe ファイルタイプ: Composite Document File V2 (.xlsx 拡張子にもかかわらずレガシー OLE 形式) — Microsoft Excel 97-2003 作成日: 2006年9月16日 | 最終保存: 2026年6月15日

主な発見事項:

• ファイルが暗号化されている (FILEPASS レコード) — シグネチャベースのスキャナからマクロの内容を隠蔽
• VBA マクロが 4 つのストリーム (Sheet1–3、ThisWorkbook) に存在
• mraptor フラグ: A=AutoExec, W=Write, X=Execute — マクロは開いたときに自動実行され、コードを書き込み・実行
• 非表示のシートが 1 つ検出
• 16 進エンコードされた文字列が存在 — 検出を回避するための難読化
• 復号後の VBA マクロソースは空 — XLM マクロ層を介したペイロード配信と一致

判定: 悪意あり — 自動実行マクロ、書き込み・実行機能、非表示シート、難読化されたペイロードを備えた暗号化 Excel ファイル

解析手法

1. SHA-256 ハッシュを生成し、証拠保全 (チェーン・オブ・カストディ) を検証
2. file コマンドを使用して、宣言された拡張子と実際のファイルタイプを識別
3. oleid を使用して、高レベルのインジケータトリアージ (暗号化、マクロ、外部リレーションシップ) を実施
4. oledump を使用して、OLE ストリームと埋め込みオブジェクトを列挙
5. olevba を使用して、VBA マクロのソースコードを抽出・難読化解除
6. mraptor を使用して、AutoExec、Write、Execute のマクロ動作を検出

実証された主要概念

• Office ドキュメントのフォレンジック手法
• OLE コンテナ構造の解析
• 静的インジケータからの CVE 識別 (CVE-2017-11882)
• VBA マクロのトリアージと動作フラグの検出
• マルウェア回避手法としてのファイルタイプ不一致
• AV 回避手法としての暗号化と 16 進文字列難読化
• 暗号学的ハッシュによる証拠保全 (チェーン・オブ・カストディ)

サンプルソース

両サンプルは、abuse.ch がセキュリティ研究目的で運営するキュレーション済み脅威インテリジェンスプラットフォーム MalwareBazaar (bazaar.abuse.ch) から入手しました。

参考文献

• CVE-2017-11882: Microsoft Equation Editor の RCE
• oletools by Philippe Lagadec: https://github.com/decalage2/oletools
• MalwareBazaar: https://bazaar.abuse.ch
• REMnux ドキュメント: https://docs.remnux.org